Analyse technique de CVE-2024-3094 : la porte dérobée dans la chaîne d'approvisionnement de XZ Utils

Démo vidéo : https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

Description :

Une analyse technique et architecturale approfondie de CVE-2024-3094 (CVSS 10.0 Critique), la porte dérobée historique dans la chaîne d'approvisionnement open source intégrée à xz-utils / liblzma (versions 5.6.0 et 5.6.1), découverte en mars 2024.

Cette présentation a été réalisée dans le cadre du projet final de CS50’s Introduction to Cybersecurity de l'Université Harvard / edX.

👤 Métadonnées du projet

Nom de l'étudiant : Namegabe Mulokwa Victoire
Nom d'utilisateur edX : namegabevictoire01
Nom d'utilisateur GitHub : namegabevictoire01-sys
Date : 15 septembre 2026
Cours : CS50 Cybersecurity (projet final)

📌 Résumé exécutif

En mars 2024, une attaque critique sur la chaîne d'approvisionnement a été découverte au sein de xz-utils, un utilitaire de compression fondamental utilisé par les principales distributions Linux (Debian, Fedora, Ubuntu, Arch, RHEL). Affublée du score de vulnérabilité maximal de CVSS 10.0, la porte dérobée ciblait liblzma.so lors de la compilation afin de détourner les processus OpenSSH (sshd), permettant une exécution de code à distance (RCE) non autorisée avec les pleins privilèges root.

Ce projet examine le cycle de vie complet de la vulnérabilité selon cinq dimensions clés :

Portée et impact : empreinte mondiale de liblzma et concepts fondamentaux de sécurité des systèmes.
Ingénierie sociale : la campagne d'infiltration de 2 ans menée par plusieurs personnages de l'acteur de menace « Jia Tan ».
Mécanismes techniques : fichiers de test obfusqués, exécution de m4 au moment de la compilation et détournement de symboles GNU IFUNC.
Détection et exécution de la charge utile : vérification de signature cryptographique (ED448) et découverte de l'anomalie par Andres Freund.
Atténuation systémique : gouvernance multi-mainteneurs, builds reproductibles et découplage des privilèges.

🛠️ Principales conclusions techniques

Ingénierie sociale / infiltration humaine : l'acteur de menace a établi la confiance sur 24 mois grâce à de véritables contributions avant de recourir à des comptes factices coordonnés pour faire pression sur l'unique mainteneur, obtenant finalement des droits d'administration sur les commits et de signature des versions.
Obfuscation au moment de la compilation : des objets binaires malveillants étaient dissimulés dans des archives de test déguisées (bad-3-corrupt_lzma2.xz). Une macro build-to-host.m4 injectée vérifiait les conditions d'environnement (empaquetage ciblant Linux x86_64) avant d'extraire et de lier la charge utile lors de la génération du binaire.
Interception d'OpenSSH via GNU IFUNC : sur les distributions Linux dotées de systemd, systemd lie OpenSSH à liblzma. La porte dérobée utilisait les fonctions indirectes GNU (IFUNC) pour s'accrocher en mémoire lors de la résolution dynamique des symboles, remplaçant RSA_public_decrypt.
Exécution à distance dissimulée : la fonction détournée évaluait les charges utiles SSH entrantes par rapport à une clé ED448 codée en dur. Les signatures valides déclenchaient une exécution immédiate en tant que root sans laisser de traces dans les journaux système (syslog), tandis que les tentatives non concordantes étaient transmises sans encombre à l'authentification standard.

📂 Structure du dépôt et du projet

.
├── presentation_slides/     # High-resolution 16:9 presentation slides (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # AI Voiceover transcripts and timing scripts
│   └── narration_script.txt
├── README.md                # Project documentation and summary
└── project_details.txt      # Course submission metadata

cs50-cybersecurity-final-project

Populaires